Ces deux outils sont comparés en permanence, et la comparaison est légèrement mal posée. Headscale et OpenVPN ne résolvent pas le même type de problème. L'un coordonne un mesh dans lequel vos appareils communiquent directement entre eux ; l'autre est un concentrateur par lequel passe tout le trafic. Choisir entre les deux revient surtout à décider laquelle de ces deux topologies vous voulez vraiment, et la réponse est souvent évidente une fois la question posée ainsi.
Vous hésitez plutôt entre Headscale et le service hébergé lui-même ? Notre comparatif Tailscale vs Headscale liste les fonctions manquantes, le coût sur 3 ans et un verdict selon la taille de l'équipe.
La différence structurelle, en un paragraphe
Avec OpenVPN, les clients se connectent à un serveur. Ce serveur voit chaque paquet : il est à la fois le point de contrôle et le chemin du trafic. Quand deux de vos ordinateurs portables communiquent, leur trafic monte jusqu'au serveur puis redescend.
Avec Headscale, le serveur distribue les clés et les cartes du réseau, puis s'efface. Deux appareils qui ont été présentés l'un à l'autre communiquent directement, chiffrés de bout en bout avec WireGuard. Le plan de contrôle peut être hors ligne, les tunnels existants continuent de fonctionner.
Cette seule différence détermine presque tout ce qui suit.
Là où le mesh gagne
Le trafic ne fait pas de détour. Deux machines dans le même bureau se joignent à travers le bureau, pas via un VPS à Francfort. Pour un travail sensible à la latence, ce n'est pas un gain marginal.
Pas de goulet d'étranglement unique. La bande passante d'un serveur OpenVPN est un plafond partagé par tout le monde ; un mesh n'a pas de tuyau central équivalent.
Une identité par appareil. Chaque nœud a sa propre clé et sa propre place dans une ACL, au lieu d'un certificat qui donne accès à « tout le réseau ».
La vitesse, en général. WireGuard tourne souvent dans le noyau Linux alors qu'OpenVPN tourne en espace utilisateur, ce qui tend à favoriser WireGuard sur un hôte Linux. Considérez-le comme une tendance, pas comme un chiffre : sur une liaison saturée, ou quand les deux pairs sont de toute façon proches du serveur OpenVPN, la différence peut se noyer dans le bruit.
Là où OpenVPN gagne encore, et ce n'est pas de la nostalgie
Traverser les réseaux hostiles. OpenVPN peut fonctionner sur le port TCP 443, impossible à distinguer du HTTPS ordinaire pour un filtre basé sur les ports. WireGuard fonctionne uniquement en UDP : un réseau qui bloque l'UDP bloque donc complètement le mesh, et aucun réglage du client ne le sauve. Sur le Wi-Fi d'un hôtel, d'un campus ou d'une entreprise, c'est décisif, et c'est la raison pour laquelle beaucoup gardent un point d'accès OpenVPN actif uniquement comme issue de secours. Quand même le TCP/443 est inspecté et pas seulement filtré, la réponse n'est plus un réglage de transport mais de l'obfuscation, et wstunnel, qui transporte le tunnel dans un WebSocket, est l'étape suivante habituelle.
Les appareils qui ne feront jamais tourner WireGuard. Anciens routeurs, équipements industriels embarqués, vieux firmwares de NAS, appareils abandonnés par leur fabricant. Un mesh que la moitié de votre parc ne peut pas rejoindre n'est pas un mesh.
Un point d'entrée unique et contrôlé. Parfois, centraliser le trafic est l'exigence, pas l'inconvénient : quand tout doit passer par un point d'inspection unique, ou sortir par une seule adresse auditable. Un mesh est, par conception, le mauvais outil pour cela.
La maturité de l'écosystème. Des décennies de documentation, et aucune dépendance au client d'une seule entreprise.
Un tableau de décision qui ne tergiverse pas
| Votre situation | Choix |
|---|---|
| Relier vos propres machines entre elles | Headscale |
| Vous avez besoin d'un point d'entrée unique, contrôlé et auditable | OpenVPN |
| Une partie du parc est du matériel ancien ou des appareils fermés | OpenVPN |
| La latence entre pairs compte | Headscale |
| Vous travaillez souvent depuis des réseaux qui filtrent l'UDP | OpenVPN (TCP/443) |
| Vous voulez une identité par appareil et des ACL centralisées | Headscale |
| Vous ne voulez aucune dépendance au client d'un éditeur | OpenVPN |
Le verdict honnête
Si vous construisez une connectivité privée entre des machines qui vous appartiennent, Headscale est le meilleur choix par défaut en 2026 : la topologie correspond au problème, et les performances découlent de cette adéquation plutôt que d'une ingénierie astucieuse.
Vous partez sur Headscale ? Côté serveur, il suffit d'un petit VPS avec une IP publique et un nom de domaine. Notre générateur de configuration Headscale gratuit écrit le config.yaml, le fichier Docker Compose, la configuration TLS et les premières commandes, et un Contabo Cloud VPS 4 est affiché à partir de 5,50 €/mois sur contabo.com (vérifié le 17 oct. 2026). Si vous préférez un hébergeur américain avec une garantie satisfait ou remboursé de 30 jours, Ultahost VPS Basic coûte 5,52 $ par mois sur un engagement de 24 mois (1 Go de RAM, IPv4 dédiée, relevé le 21 octobre 2026), assez pour un serveur Headscale destiné à une petite équipe. La même machine peut garder un point d'écoute OpenVPN sur TCP/443 pour les réseaux hostiles évoqués plus haut.
Gardez OpenVPN là où il est réellement irremplaçable : les réseaux hostiles qui ne laissent sortir que le TCP/443, et le matériel incapable de rejoindre un mesh moderne. Ces deux cas sont plus restreints qu'il y a cinq ans, et ils ne vont pas disparaître.
Utiliser les deux est une issue légitime, pas un échec à trancher. Le coût : deux chemins d'accès à auditer au lieu d'un. C'est réel, mais généralement moindre que de forcer tous les cas à passer par un seul outil qui n'en couvre qu'une partie.
★ Datacenter Nuremberg GDPR · ✓ IPv4 dédiée incluse · port 200 Mbit/s
Héberge ton VPN sur ton propre VPS → ContaboAccès root complet · IPv4 publique · choisis ta région→
